Configurer SPF pour Google Workspace

1. Recensez vos services d’envoi

Incluez les newsletters, les factures et les formulaires du site, même si votre boîte est sur Google Workspace. Demandez à chaque fournisseur ses instructions SPF actuelles et le domaine utilisé pour l’adresse de retour, indiquée dans Return-Path. Le guide SPF de Google

2. Vérifiez la politique existante

Chez votre fournisseur DNS, sauvegardez les enregistrements TXT avant toute modification. Si l’un commence par v=spf1, mettez-le à jour avec votre administrateur au lieu d’en ajouter un autre. Conservez les expéditeurs autorisés et la protection existante, ainsi que les enregistrements MX, DKIM et les autres TXT.

SPF vérifie normalement le domaine de l’expéditeur d’enveloppe (Return-Path), qui peut différer de l’adresse visible dans le champ De. Un sous-domaine d’envoi a besoin de sa propre politique ; SPF n’hérite pas automatiquement de l’enregistrement du domaine parent. Comment SPF identifie le domaine d’envoi

3. Publiez la bonne valeur TXT

Utilisez cet exemple uniquement si Google Workspace est votre seul service d’envoi et qu’aucune politique SPF n’existe déjà pour ce domaine :

v=spf1 include:_spf.google.com ~all

Pour la racine de votre domaine, les fournisseurs utilisent souvent @ ou un champ de nom vide ; suivez leurs instructions. Ne placez pas cet enregistrement sous _dmarc ni systématiquement sous www.

La terminaison ~all signale un résultat softfail pour les serveurs non répertoriés ; le destinataire décide comment traiter leurs messages. Conservez une seule politique SPF par domaine d’envoi. Comprendre les valeurs d’un enregistrement SPF

Avec plusieurs expéditeurs, demandez à votre administrateur de vérifier la limite de 10 termes déclenchant des requêtes DNS sur toute l’évaluation, y compris les règles include et redirect imbriquées. Compter uniquement les include visibles ne suffit pas. Les limites de recherche SPF

4. Vérifiez le DNS et des messages réels

Les modifications peuvent prendre jusqu’à 48 heures. Demandez à votre administrateur de vérifier les enregistrements TXT publiés, en remplaçant example.com par le domaine utilisé par SPF :

dig +short TXT example.com

Envoyez depuis chaque service vers une boîte externe distincte que vous contrôlez. Dans les en-têtes d’origine du service destinataire, vérifiez spf=pass et le domaine évalué. Un enregistrement DNS seul ne prouve ni l’authentification ni la réception dans la boîte principale. Vérifier et dépanner SPF avec Google

Le transfert d’e-mails peut faire échouer SPF. Configurez aussi DKIM et DMARC : une réussite pour le domaine d’un fournisseur ne protège pas à elle seule votre adresse visible dans le champ De. Configurer DMARC pour Google Workspace

Configurer DKIM pour votre messagerie professionnelle